Anthropic 啟動 Glasswing 首月：AI 挖出逾萬高危漏洞，修補反成最大瓶頸

找漏洞的速度，第一次跑贏了修漏洞的人

搞網路安全的人都知道，以前最痛苦的事情是「挖漏洞」。哪怕是頂級白帽駭客，盯著複雜的底層程式碼啃上幾個星期，也未必能抓到一個真正致命的零日漏洞。

Anthropic 剛公佈的這一組數字，把這個舊規律砸得粉碎。他們上個月啟動了一個叫「Project Glasswing」的專案，拉來大約 50 家合作伙伴，用自家的 Claude Mythos Preview 模型去掃全球最重要的基礎軟體。結果僅僅一個月，他們就挖出了 10000 多個高危或嚴重級別的軟體漏洞。

不僅數量多，準頭還高得嚇人。Cloudflare 一家就在自己的核心繫統裡掃出了 2000 個 Bug，其中高危和嚴重級別的有 400 個。Cloudflare 團隊反饋，這個模型的誤報率甚至比人類測試員還要低。Mozilla 在測試 Firefox 150 時順手修掉了 271 個漏洞，這個效率是之前用 Claude Opus 4.6 時的十倍以上。

在英國 AI 安全研究所的測試裡，Mythos Preview 成了第一個從頭到尾完整跑通兩套多步驟網路攻擊模擬的模型。除了抓程式碼缺陷，甚至有一家合作銀行遭遇了客戶郵箱被盜加電話偽造的複合攻擊，模型還在現場攔截了一筆 150 萬美元的虛假電匯。

開源作者撐不住了：求求你們慢點報

大公司有足夠的工程師倒班修 Bug，但開源世界就沒這麼輕鬆了。

Anthropic 這幾個月用 Mythos Preview 掃了 1000 多個開源專案，總共標記了 23019 個潛在問題，其中模型判斷屬於高危和嚴重的就有 6202 個。為了防止模型胡言亂語，外部獨立安全機構仔細複核了其中的 1752 個高危警報，證實 90.6% 確實是真漏洞，最終確認高危和嚴重的比例也高達 62.4%。

比如數十億臺裝置都在用的開源加密庫 wolfSSL，就被模型抓出了一個編號為 CVE-2026-5194 的漏洞。這個模型不僅找出了缺陷，還寫出了利用程式，證明駭客能借此偽造安全證書，搭建假銀行或假郵箱網站來釣魚。

問題在於，AI 找漏洞只要幾秒鐘，人類給這些嚴重漏洞寫修復補丁平均要花兩週。在 Anthropic 已經向開源維護者報告的 530 個高危漏洞裡，目前修好的只有 75 個。大量平時就靠無償奉獻的開源作者已經徹底頂不住了，甚至有人直接找 Anthropic 求饒，讓他們先別提交那麼多漏洞，因為根本來不及修。

為什麼重要

我們認為，Anthropic 這份更新亮出的不僅是模型的肌肉，更暴露了當前網路防禦體系裡一個危險的不對稱：找漏洞的成本被 AI 打到了幾乎為零，但修漏洞的產能依然完全被人類的肉身所卡死。

對於軟體開發者和開源維護者來說，Mythos 證明了 AI 審計程式碼的可用度已經跨過了實戰門檻。但如果沒有配套的自動化修復和迴歸測試工具，海量真實的致命 Bug 只會成為維護者的精神內耗。現在去用這種工具掃程式碼固然能防患於未然，可如果團隊缺乏兩週修一個 Bug 的工程底子，反而會被源源不斷的告警拖垮。

更值得關注的是它對整個攻防生態的施壓。目前 Anthropic 還在遵守 90 天的協同披露規則，跟盟友一起搶在壞人前面打補丁。但看起來，具備同等邏輯推理能力的模型很快就會普及。一旦這種自動構造 Exploit 的能力被黑產或別有用心者掌握，攻擊者不需要兩週去等補丁，而是會以機器的速度批次發起攻擊。如果防禦方不能儘快把自動打補丁也交給 AI，整個網際網路的底層信任很快會面臨前所未有的壓力測試。